L'email de phishing qui provenait des propres serveurs de DocuSign

Un arnaqueur n'a pas besoin de contrefaire DocuSign. Il lui suffit de s'y inscrire.

C'est ce point que la plupart des gens ne comprennent pas bien à propos des faux emails de facture qui atterrissent dans leur boîte de réception. On nous a appris à chercher l'indice révélateur — le domaine mal orthographié, l'adresse d'expéditeur bizarre, le lien qui renvoie vers docus1gn-secure-login point quelque chose. Mais une vague croissante de ces arnagues passe tous les filtres sans problème, parce que les criminels n'usurpent pas l'identité de DocuSign du tout. Ils l'utilisent. Vrai compte, vrai enveloppe, vrai email envoyé depuis les serveurs de messagerie réels de DocuSign.

Voici comment ça marche. Un attaquant crée un compte DocuSign légitime, construit un vrai document — disons, une « facture » de 9 800 dollars pour des services de sécurité réseau d'un faux vendeur — et vous l'envoie via le flux normal de demande de signature de la plateforme. DocuSign le livre avec plaisir. L'email provient vraiment de l'infrastructure de DocuSign, il porte donc une authentification valide. L'arnaque se cache à l'intérieur du document : un numéro de téléphone à appeler, ou des instructions pour virer de l'argent avant que vous « approuviez » une charge. Pas de malware, pas de lien usurpé pour que votre filtre le détecte. DocuSign a reconnu ce schéma et avertit les utilisateurs que sa propre plateforme est exploitée de cette manière.

Ce qui nous amène au feu vert, et pourquoi il vous ment.

Quand votre fournisseur de messagerie vous dit qu'un message est « vérifié », il lance trois vérifications : SPF, DKIM et DMARC. SPF confirme que le message provient d'un serveur autorisé à envoyer pour ce domaine. DKIM ajoute une signature cryptographique prouvant que le message n'a pas été altéré en transit. DMARC lie les deux ensemble et dit aux destinataires ce qu'il faut faire s'ils échouent. Les trois sont réels, utiles et méritent d'être en place. Voici le problème : ils ont jamais été conçus pour résoudre ceci : ils vérifient qui a envoyé l'email, pas si cette personne essaie de vous voler. Un message envoyé via les vrais serveurs de DocuSign passe tous les trois avec les honneurs — parce qu'il provient réellement de DocuSign. L'authentification fonctionne exactement comme prévu. Elle ne peut simplement pas lire l'intention.

C'est le point faible que les attaquants ont appris à exploiter à grande échelle. Proofpoint, qui étudie cela pour son métier, a documenté une montée en puissance de « l'abus de service légitime » — des campagnes qui s'appuient sur des plateformes de confiance comme DocuSign, PayPal, Microsoft et Dropbox précisément parce que ces domaines passent chaque vérification d'authentification et sont rarement bloqués. La propre fonction « demande d'argent » de PayPal a été un favori pour la même raison : un vrai email PayPal, avec un vrai lien PayPal, vous demandant de contester une charge qui n'a jamais eu lieu en appelant un numéro qui vous connecte à l'arnaqueur.

L'ampleur est la partie inconfortable. Le Internet Crime Complaint Center du FBI a enregistré plus de 16 milliards de dollars en pertes déclarées en 2024, le compromis de messagerie professionnelle — la catégorie polie, sans malware, qui semble totalement légitime à laquelle ces faux appartiennent — figurant parmi les plus coûteux. Ce ne sont pas des emails maladroits du style prince nigérian. Ils sont propres, de marque, et authentifiés.

Alors qu'est-ce qui vous protège vraiment, si le feu vert ne le fait pas ? Pas l'expéditeur. La demande. Une vraie facture n'a pas une date limite de panique. Une vraie demande de signature correspond à quelque chose que vous attendiez déjà. Quand un document vous dit d'appeler un numéro pour contester une charge que vous ne reconnaissez pas, c'est toute l'arnaque en une phrase — parce que le geste légitime est d'ignorer l'email complètement et de vous connecter au site de l'entreprise vous-même, en tapant l'adresse à la main.

Le feu vert vous dit que la lettre provient d'une vraie poste. Il ne vous dit rien sur ce qui est écrit dedans.